Otepää Vallavalitsuse infoturbepoliitika

(1) Infoturbepoliitika määratleb Otepää Vallavalitsuse (edaspidi vallavalitsus) infoturbe strateegia üldised alused, mida on kohustatud järgima vallavalitsuse teenistujad, töövõtu- või muu lepingu alusel teenust osutavad isikud ning kõik teised isikud, kes osalevad vallavalitsuse töös.

(2) Infoturbepoliitika eesmärk on deklareerida valdkonnaga tegelemise vajalikkust vallavalitsuses ning kehtestada üldised strateegilised suunised infoturbe tagamiseks ja eesmärkide saavutamiseks. Infoturbepoliitikas antud suuniste alusel koostatakse infoturvet reguleerivad eeskirjad, korrad, juhendmaterjalid ja muud asutuste infoturvet reguleerivad dokumendid.

(1) Infoturve on turvameetmete loomise, valimise ja rakendamise protsesside kogum, mis tagab andmete tervikluse, käideldavuse ning konfidentsiaalsuse.

(2) Infoturbe haldus on protsess, mida kasutatakse infovara konfidentsiaalsuse, tervikluse ja käideldavuse asjakohaste tasemete saavutamiseks ning säilitamiseks. Infoturbe halduse põhifunktsioonide hulka kuuluvad strateegilise infoturbepoliitika koostamine, infoturbe organisatsiooni loomine, riskihaldus ja infoturbe käigushoidmine.

(3) Andmed võivad olla mis tahes viisil ja mis tahes andmekandjale jäädvustatud või dokumenteeritud teave ning kõikvõimalike vahendite abil edastatav või töödeldav teave.

(4) Vallavalitsuses kasutusel olevad informatsioon, andmed ja nende töötlemiseks vajalikud riist-ja tarkvara ning andmeside seadmed (edaspidi infovarad) on tähtsad vallavalitsuse igapäevase tegevuse toimimiseks ning neid tuleb kasutada ainult määratud otstarbel.

(5) Vallavalitsuse infoturbe eesmärgid on

1) kaitsta andmeid ohtude eest, tagada nende väärtuste ja omaduste säilimine ning konfidentsiaalsus ja terviklus;

2) tagada vallavalitsuse igapäevane turvaline asjaajamine ja infovahetus, sealhulgas töökindla töökeskkonna ja talitlusvõime säilitamine;

3) tagada vallavalitsuse ja kodanike vaheline infovahetus ning avalike teenuste kiire ning tulemuslik osutamine;

4) säilitada vallavalitsuse kuvand.

(6) Infoturbe meetmed peavad tagama õigusaktidest tulenevate turvanõuete täitmise ja asjaajamise piisava turvalisuse ning olema samas majanduslikult põhjendatud ja nende mõju asutuse tegevuse efektiivsusele peab olema võimalikult väike.

(1) Infoturve on organisatsiooni kollektiivne tegevus. Üldine infoturbealane vastutus on igal vallavalitsuse teenistujal ja seisneb valdkonda reguleerivate kordade järgimises, infoturbe meetmete rakendamises ning infoturbeintsidentidest teavitamises.

(2) Infoturbepoliitika rakendamise teostajad määrab ning infoturvet reguleerivad juhised ja korrad kinnitab vallavanem.

(3) Vallavalitsuse teenistuste ja kõigi tasandite vahetud juhid kontrollivad, et alluvad täidaks infoturbe nõudeid.

(4) Infoturbe meetmete rakendamist, riskianalüüside läbiviimist, infoturbe alast järelevalvet ja infoturbeintsidentide lahendamist ning nõuetekohast raporteerimist Riigi Infosüsteemi Ametile koordineerib ja teostab infoturbe eest vastutav isik koostöös vallavalitsuse infotehnoloogia teenust pakkuva ettevõttega.

(5) Infoturbe eest vastutav isik esitab vallavalitsuse töös tuvastatud puuduste likvideerimise ettepanekud ning suunised vallavanemale.

(6) Konkreetsete turvameetmete rakendamise eest vastutajad määratakse vallavanema käskkirjaga või vastava korraga või kajastatakse vastavalt vajadusele ametnike ametijuhendites.

(1) Vallavalitsuse infoturbe korraldamisel rakendatakse infosüsteemide kolmeastmelise etalonturbe süsteemi (edaspidi ISKE) meetmeid. ISKE määrab ära minimaalsed turvameetmed, mida tuleb rakendada infovaradele ettenähtud turvataseme saavutamiseks ja säilitamiseks. ISKE rakendusjuhendi ja teiste juhendmaterjalide tõlgendamisel lähtutakse mõistlikkuse printsiibist ja arvestatakse infoturbe üldist eesmärki.

(2) Infovarade spetsifikatsioon koos määratud turvaklassidega koostatakse Vabariigi Valitsuse 20. detsembri 2007. a määruse nr 252 „Infosüsteemide turvameetmete süsteem“ alusel.

(3) Infovarade spetsifikatsiooni alusel hinnatakse ISKE turvameetmete rakendatust vastavalt ISKE rakendusjuhendile ja koostatakse asjakohane rakendusplaan, mis kinnitatakse vallavanema käskkirjaga.

(4) Kui mõnda ISKE turvameedet ei ole võimalik või otstarbekas täita, peab leidma alternatiivsed meetmed riski vähendamiseks või peab vallavanem kinnitama meetme täitmata jätmisega tekkinud jääkriski aktsepteerimise.

(5) Turvameetmete pideva asjakohasuse tagamiseks on vajalik turvameetmete regulatsioonide perioodilised läbivaatused, töökeskkonna igapäevane seire, infoturbe perioodiline vastavuskontroll, muutustele reageerimine ja infoturbeintsidentide käsitlus.

(6) ISKE turvameetmete rakendatus vaadatakse läbi koos valla eelarve koostamisega, samuti suuremate muutuste ja infoturbeintsidentide korral ning arvestusega, et kõik turvameetmed saaksid vähemalt kaks korda aastas üle vaadatud.

(7) Väline turvanõuete audit tellitakse vastavalt vajadusele, kuid mitte harvemini kui Vabariigi Valitsuse 20. detsembri 2007. a määruses nr 252 „Infosüsteemide turvameetmete süsteem“ kehtestatud korras.

(1) Enne teenistuja tööle asumist tutvustatakse talle asutuse infoturbe põhimõtteid ja -reegleid.

(2) Teenistuja infoturbega seotud õigused, kohustused ja vastutus määratakse ametijuhendis, infoturbe juhendites ja/või muudes asjakohastes eeskirjades.

(3) Teenistujaid teavitatakse nende töövaldkonda puudutavatest infoturbe meetodite muutustest ja turvaintsidentidest viivitamatult.

(4) Infoturbe tagamiseks organisatsioonis korraldatakse teenistujatele regulaarselt koolitusi ja teadmiste kontrollimiseks viiakse läbi asjakohaseid teste.

(1) Infoturbeintsidendist ja selle ohust peab iga teenistuja võimalikult kiiresti teavitama kokkulepitud teavitusskeemide kaudu.

(2) Infoturbeintsidentide lahendamine toimub infoturbe eest vastutava isiku või teenistuse juhi poolt selleks määratud isiku koordineerimisel, kes rakendab vastavalt tekkinud olukorrale asjakohast reageerimist. Infoturbeintsidentide avastamise üheks eelduseks on jälitatavuse toimivus.

(3) Jälitatavuse tagamiseks salvestatakse ja säilitatakse infovarade haldamise ja kasutamisega seotud toimingute teostamise kohta logisid. Toimingute liik, mille teostamise kohta logisid salvestatakse ja säilitatakse, samuti logide säilitamise tähtaeg kehtestatakse vastavalt seaduses sätestatud nõuetele ning infovaradele määratud turvaklassile ja sellele vastavatele ISKE rakendusjuhendis sisalduvatele turvameetmetele.

(4) Logid peavad sisaldama vähemalt toimingu teostaja nime, toimingu liiki ja toimingu teostamise aega.

(5) Infoturbeintsidendi lahendamiseks on infoturbe eest vastutaval isikul või selleks määratud isikul juurdepääsuõigus sellistele logidele ja muule arvutivõrgus olevale informatsioonile, mis on situatsiooni lahendamiseks vajalik.

(6) Infoturbeintsidendi lahendamise käigus kogutud informatsioon dokumenteeritakse ja analüüsitakse eesmärgiga vältida sarnaste intsidentide aset leidmist tulevikus ning otsustamaks täiendavate turvameetmete rakendamise vajaduse üle.

(7) Infoturbeintsidentide käsitlemise korra tõhusust testitakse pärast iga turvaintsidenti, mille lahendamisel selgus, et turvaintsidentide korras oli vajakajäämisi.

(1) Infoturbepoliitika läbivaatus toimub kord aastas või peale suuremaid muutusi organisatsioonis, süsteemides või regulatsioonides, või pärast tõsist intsidenti.

(2) Läbivaatust ja värskendamist korraldab infoturbe eest vastutav isik.

(3) Muudatustest teavitatakse kõiki teenistujaid ja vajadusel vallavalitsuse lepingulisi partnereid.

(1) Otepää Vallavalitsuse 25. märtsi 2020. a määrus nr 1 „Otepää Vallavalitsuse infoturbepoliitika“ tunnistatakse kehtetuks.

(2) Infoturbepoliitika rakendamiseks vajalikud rakendusaktid (valdkonda reguleerivad eeskirjad, korrad, tehnilise dokumentatsiooni, juhendid jne) kinnitab vallavanem. Rakendusaktid peavad tuginema infoturbepoliitikale ja olema kooskõlas õigusaktidega.

(3) Määrus jõustub kolmandal päeval pärast Riigi Teatajas avaldamist.